Skip to content
USBForensics

Glossaire

ID d’instance de périphérique

Le nom en forme de chemin d’un nœud de périphérique, comme USBSTOR\Disk&Ven_X&Prod_Y&Rev_1.00\SERIAL&0, présent dans le registre, les journaux et setupapi.

Un ID d’instance de périphérique est le nom en forme de chemin que Windows donne à chaque nœud de périphérique : <enumerator>\<device ID>\<instance ID>. L’énumérateur est le bus ou le composant logiciel qui a détecté le périphérique (USB, USBSTOR, SWD), l’identifiant de périphérique décrit le modèle, et l’identifiant d’instance distingue les périphériques d’un même modèle. Pour un stockage USB doté d’un vrai numéro de série, l’identifiant d’instance est construit à partir de ce numéro. Chaque nœud a une clé portant son identifiant d’instance sous SYSTEM\ControlSet00x\Enum.

Pourquoi c’est important en investigation

L’ID d’instance est le fil conducteur de presque tous les artefacts USB. La même chaîne apparaît dans les chemins de clés du registre, dans les en-têtes de section de setupapi.dev.log, dans les événements Kernel-PnP, dans Security 6416 et dans le champ ParentId de Partition/Diagnostic 1006. Une variante séparée par des #, le chemin d’interface du périphérique, figure dans les données de MountedDevices, dans les noms de sous-clés d’EMDMgmt et sous WPDBUSENUM. Extrayez une fois la partie numéro de série et vous tenez la première clé de corrélation entre toutes ces sources.

Trois détails décident si le rapprochement fonctionne :

  • Les ID d’instance USBSTOR ajoutent & et un numéro d’unité logique au numéro de série. Retirez le &0 final avant de comparer avec Enum\USB.
  • Si le deuxième caractère de l’ID d’instance est &, le périphérique n’a fourni aucun numéro de série exploitable et l’ID a été généré par Windows ; il n’a de sens que sur cet ordinateur.
  • La casse varie selon les sources (les noms de clés de SOFTWARE sont souvent en majuscules) : comparez sans tenir compte de la casse.

Exemple

USB\VID_3F10&PID_4C21\CS1234567890
USBSTOR\Disk&Ven_Contoso&Prod_SecureFlash&Rev_1.00\CS1234567890&0
_??_USBSTOR#Disk&Ven_Contoso&Prod_SecureFlash&Rev_1.00#CS1234567890&0#{53f56307-b6bf-11d0-94f2-00a0c91efb8b}

La première ligne est le périphérique USB (fabricant 3F10, produit 4C21), la deuxième le disque, la troisième le chemin d’interface du disque tel que MountedDevices le stocke. Le GUID final est la classe d’interface des disques. Les trois contiennent le même numéro de série, CS1234567890.

Termes associés

USB Forensics normalise toutes les formes de l’ID d’instance et rapproche les sources grâce à lui. La carte complète des artefacts USB indique quel artefact porte quel identifiant.